Cybercrime-as-a-Service ist das arbeitsteilige Geschäftsmodell der Untergrundökonomie: Schadsoftware, Zugänge, Infrastruktur und komplette Angriffsdienste werden gemietet statt selbst entwickelt.
Cybercrime-as-a-Service (CaaS) beschreibt die Industrialisierung der Internetkriminalität. Wie in der legalen Wirtschaft haben sich Spezialisten herausgebildet, die einzelne Bausteine eines Angriffs als Dienstleistung anbieten: Schadsoftware mit Support und Updates, gestohlene Zugänge, Phishing-Baukästen, Hosting, das Beschwerden ignoriert, Geldwäsche über Kryptowährungen und Verhandlungsführung mit Erpressungsopfern. Wer heute ein Unternehmen angreifen will, muss nichts davon selbst können. Er mietet, kauft oder beteiligt den Anbieter am Erlös.
Die bekannteste Ausprägung ist Ransomware-as-a-Service (RaaS): Eine Kerngruppe entwickelt die Verschlüsselungssoftware, betreibt die Leak-Seite und die Verhandlungsplattform, während sogenannte Affiliates die eigentlichen Einbrüche durchführen und einen Anteil des Lösegelds, häufig 70 bis 80 Prozent, behalten.
Die Wertschöpfungskette
- Zugang: Initial Access Broker verkaufen kompromittierte VPN-, RDP- oder Domänenkonten.
- Werkzeuge: Malware-Entwickler bieten Infostealer, Loader und Verschlüsselungssoftware im Abonnement; Phishing-Kits liefern täuschend echte Anmeldeseiten inklusive MFA-Umgehung.
- Infrastruktur: Botnetze verteilen Spam und Malware, Bulletproof-Hoster stellen Server, Proxy-Dienste verschleiern Herkunft.
- Durchführung: Affiliates kombinieren diese Bausteine, bewegen sich im Netz des Opfers, stehlen Daten und verschlüsseln Systeme.
- Monetarisierung: Verhandler, Geldwäschedienste und Datenhändler verwerten den Erfolg.
Jeder Baustein ist austauschbar. Wird eine Ransomware-Gruppe zerschlagen, wechseln die Affiliates zum nächsten Anbieter. Das erklärt, warum Strafverfolgungserfolge die Zahl der Angriffe nur kurzzeitig senken.
Bedeutung für Unternehmen
Für Entscheider folgt daraus eine nüchterne Erkenntnis: Die Hürde, ein Unternehmen anzugreifen, ist niedrig, und die Angreifer sind nicht hochspezialisierte Einzeltäter, sondern Teilnehmer eines Marktes, der nach Rendite sucht. Angegriffen wird, wer zugänglich ist und zahlen kann. Laut Bitkom Wirtschaftsschutz 2025 waren 87 Prozent der deutschen Unternehmen von Angriffen betroffen, der Schaden durch Cyberangriffe lag bei 202,4 Milliarden Euro. Ransomware war laut Verizon DBIR 2025 bei kleinen Organisationen in 88 Prozent der Breaches im Spiel.
Zugleich hat die Arbeitsteilung einen Vorteil für die Verteidigung: Die Bausteine sind bekannt. Affiliates arbeiten mit Handbüchern, verwenden dieselben Werkzeuge und folgen ähnlichen Abläufen. Wer diese Techniken kennt und erkennt, wehrt den Großteil der Angriffe ab. Eine Ransomware-Simulation bildet genau diese standardisierte Angriffskette nach und prüft, an welcher Stelle sie in Ihrem Unternehmen gestoppt würde.
Praxis-Hinweise
- Machen Sie sich zum unattraktiven Ziel: MFA überall, gepatchte Perimetergeräte, keine offenen RDP-Zugänge. Affiliates wählen den Weg des geringsten Widerstands.
- Erkennen Sie die Standardwerkzeuge: Infostealer, Loader und gängige C2-Frameworks hinterlassen bekannte Muster, die EDR und SIEM abdecken sollten.
- Bereiten Sie sich auf doppelte Erpressung vor: Backups schützen vor Verschlüsselung, nicht vor Veröffentlichung gestohlener Daten.
- Üben Sie den Ernstfall mit einer Ransomware-Simulation, die der realen Angriffskette folgt, vom Erstzugriff bis zur simulierten Verschlüsselung auf einem Testsystem.